<<< JPCERT/CC WEEKLY REPORT 2016-04-27 >>>
■04/17(日)〜04/23(土) のセキュリティ関連情報
目 次
【1】2016年4月 Oracle Critical Patch Update について
【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性
【3】Symantec Messaging Gateway に複数の脆弱性
【4】HP Data Protector に任意のコードが実行可能な脆弱性
【5】Electron に Node モジュール読み込みに関する問題
【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性
【今週のひとくちメモ】デジタル・フォレンジック研究会が「証拠保全ガイドライン第5版」公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2016/wr161701.txt
https://www.jpcert.or.jp/wr/2016/wr161701.xml
【1】2016年4月 Oracle Critical Patch Update について
情報源
US-CERT Current Activity
Oracle Releases Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2016/04/19/Oracle-Releases-Security-Bulletin
概要
Oracle から Oracle Java SE を含む複数の製品およびコンポーネントの脆弱 性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。
関連文書 (日本語)
Oracle
Oracle Critical Patch Update Advisory - April 2016
http://www.oracle.com/technetwork/jp/topics/ojkbcpuapr2016-2995215-ja.htmlJPCERT/CC Alert 2016-04-20
2016年4月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2016/at160018.html
【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性
情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/20/Cisco-Releases-Security-Updates
概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 サービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco AireOS 4.1 から 7.4.120.0 まで - Cisco AireOS 7.5 系のバージョン - Cisco AireOS 7.6.100.0 - Cisco ASA 5500-X シリーズ次世代ファイアウォール - Cisco Catalyst 6500 シリーズ / 7600 シリーズ向け ASA サービス モジュール - Cisco 適応型セキュリティ仮想アプライアンス (ASAv) - Cisco WLC 7.2 系のバージョン - Cisco WLC 7.3 系のバージョン - Cisco WLC 7.4.140.0(MD) より前の 7.4 系のバージョン - Cisco WLC 7.5 系のバージョン - Cisco WLC 7.6 系のバージョン - Cisco WLC 8.0.115.0(ED) より前の 8.0 系のバージョン - Cisco WebEx Meetings Server 1.x 系のバージョン - Cisco WebEx Meetings Server 2.x 系のバージョン - Cisco Jabber - Cisco Adaptive Security Appliance (ASA) ソフトウェア - Cisco IOS XE ソフトウェア - Cisco IP Phone 88x1 シリーズ - Cisco DX シリーズ IP Phone - Cisco IP Phone 88x5 シリーズ - Cisco Unified 7800 シリーズ IP Phone - Cisco Unified 8831 シリーズ IP Conference Phone - Cisco Unified 8961 IP Phone - Cisco Unified 9951 IP Phone - Cisco Unified 9971 IP Phone - Cisco Unified Communications Manager (UCM) - Cisco Unified Communications Manager Session Management Edition (SME) - Cisco Unified IP Phone 7900 シリーズ - Cisco Unified IP Phone 8941 および 8945 (SIP) - Cisco Unified Wireless IP Phone - Cisco Unity Connection (UC) この問題は、Cisco が提供する修正済みのバージョンに、該当する製品を更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。
関連文書 (英語)
Cisco Security Advisory
Cisco Wireless LAN Controller Management Interface Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-wlcCisco Security Advisory
Cisco Adaptive Security Appliance Software DHCPv6 Relay Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-asa-dhcpv6Cisco Security Advisory
Cisco Wireless LAN Controller Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-bdosCisco Security Advisory
Cisco Wireless LAN Controller HTTP Parsing Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-htrdCisco Security Advisory
Multiple Cisco Products libSRTP Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-libsrtp
【3】Symantec Messaging Gateway に複数の脆弱性
情報源
US-CERT Current Activity
Symantec Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/19/Symantec-Releases-Security-Updates
概要
Symantec Messaging Gateway には、複数の脆弱性があります。結果として、 遠隔の第三者が、任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Symantec Messaging Gateway 10.6.0-7 およびそれ以前 この問題は、Symantec が提供する修正済みのバージョンに、Symantec Messaging Gateway を更新することで解決します。詳細は、Symantec が提供 する情報を参照してください。
関連文書 (英語)
Symantec
Security Advisories Relating to Symantec Products - Symantec Messaging Gateway Multiple Security Issues
https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20160418_00
【4】HP Data Protector に任意のコードが実行可能な脆弱性
情報源
CERT/CC Vulnerability Note VU#267328
HP Data Protector does not perform authentication and contains an embedded SSL private key
https://www.kb.cert.org/vuls/id/267328
概要
HP Data Protector には、複数の脆弱性があります。結果として、遠隔の第三 者が、任意のコードを実行したり、中間者攻撃を行ったりするなどの可能性が あります。 対象となるバージョンは以下の通りです。他のバージョンでもこの問題の影響 を受ける可能性があります。 - HP Data Protector 7.03_108 より前の 7 系のバージョン - HP Data Protector 8.15 より前の 8 系のバージョン - HP Data Protector 9.06 より前の 9 系のバージョン この問題は、HP が提供する修正済みのバージョンに、HP Data Protector を 更新することで解決します。詳細は、HP が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#97620397
HP Data Protector に複数の脆弱性
https://jvn.jp/vu/JVNVU97620397/
関連文書 (英語)
HP
HPSBGN03580 rev.1 - HP Data Protector, Remote Code Execution, Remote Unauthorized Disclosure of Information
https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c05085988
【5】Electron に Node モジュール読み込みに関する問題
情報源
Japan Vulnerability Notes JVN#00324715
Electron における Node モジュール読み込みに関する問題
https://jvn.jp/jp/JVN00324715/
概要
Electron には、Node モジュール読み込みに関する問題があります。結果とし て、遠隔の第三者が、細工された Node モジュールを読み込ませることで、ア プリケーションが持つ権限で任意の JavaScript を実行する可能性があります。 対象となるバージョンは以下の通りです。 - Electron 0.33.5 より前のバージョン この問題は、開発者が提供する修正済みのバージョンに、Electron を更新し、 アプリケーションをリビルドすることで解決します。詳細は、開発者が提供す る情報を参照してください。
関連文書 (英語)
Electron
Prevent Node from adding paths outside the app to search paths #2976
https://github.com/electron/electron/pull/2976
【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性
情報源
Japan Vulnerability Notes JVN#11815655
スマートフォンアプリ「Photopt」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN11815655/
概要
スマートフォンアプリ「Photopt」には、SSL サーバ証明書の検証不備の脆弱 性があります。結果として、遠隔の第三者が、中間者攻撃を行うことで、暗号 通信を盗聴する可能性があります。 対象となるバージョンは以下の通りです。 - Android アプリ「Photopt」 1.0.0 および 1.1.0 この問題は、エヌ・ティ・ティ・コミュニケーションズ株式会社が提供する修 正済みのバージョンに、Photopt を更新することで解決します。詳細は、エヌ・ ティ・ティ・コミュニケーションズ株式会社が提供する情報を参照してくださ い。
関連文書 (日本語)
エヌ・ティ・ティ・コミュニケーションズ株式会社
Androidアプリをご利用のお客様へアップデートのお願い
https://mypocket.ntt.com/photopt/info/info_001.html
■今週のひとくちメモ
○デジタル・フォレンジック研究会が「証拠保全ガイドライン第5版」公開
2016年4月21日、デジタル・フォレンジック研究会は、「証拠保全ガイドライン 第5版」を公開しました。このガイドラインは、インシデント発生時に最初に 電磁的記録を保全する実務者向けに書かれたもので、事前準備やインシデント 発生直後の対応、対象物の収集・取得・保全など、証拠保全のための手順を解 説しています。
参考文献 (日本語)
デジタル・フォレンジック研究会
「証拠保全ガイドライン第5版」公開のお知らせ
https://digitalforensic.jp/2016/04/21/df-guidline-5th/
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/